I testování kamer na pracovišti podléhá GDPR
Italský výzkumný ústav dostal pokutu 10 tisíc eur za kamerový systém spuštěný při testování bez potřebné transparentnosti a předchozího posouzení vlivu. Označení provozu za zkoušku povinnosti vůči sledovaným lidem neodkládá.
Italský Garante uložil výzkumnému ústavu Istituto Nazionale di Ricerca Metrologica (INRIM) v Turíně pokutu 10 tisíc eur za kamerové sledování pracoviště. Rozhodnutí č. 620, dokument 10297167, vydal 3. září 2026 na základě podnětu dvou zaměstnanců. Případ ukazuje, že povinnosti při zpracování osobních údajů vznikají už při testování se skutečnými lidmi, i když organizace považuje systém za dosud nedokončený.
Ústav uzavřel 16. května 2025 dohodu s odborovými zástupci o kamerách určených k ochraně majetku. Původní plán počítal s deseti kamerami, ve skutečnosti jich bylo instalováno osmnáct a změnil se také rozsah sledovaných míst. Montáž skončila 30. října. Následující den a při několikahodinových zkouškách od 3. do 5. listopadu systém zobrazoval živý obraz bez pořizování záznamu. Od 6. listopadu byl podle ústavu aktivován v noci a ve dnech uzavření; záznam se spouštěl při aktivaci alarmu.
INRIM argumentoval, že informace zaměstnancům i posouzení vlivu na ochranu osobních údajů (DPIA) dokončí až před běžným provozem, po ustálení technického nastavení. Garante tento časový postup nepřijal. Živé snímání identifikovatelných osob je zpracováním osobních údajů také tehdy, když se obraz neukládá. Rozdíl mezi přenosem a záznamem je významný pro rozsah a rizika zpracování, ale samotná absence uloženého videa neodstraňuje povinnost postupovat zákonně a informovat sledované osoby.
Nedostatky pokračovaly i u cedulí umístěných 17. listopadu. Obsahovaly pouze zkratku ústavu bez potřebných kontaktních údajů a obecné označení bezpečnostního účelu. Chyběly informace o právech a uchovávání záznamu a odkaz pomocí QR kódu neposkytoval jasnou cestu k úplnému poučení. Podrobnější informační text přitom ještě nebyl zpřístupněn. V tomto případě tedy nešlo pouze o opožděnou instalaci cedule: úřad posuzoval i to, zda lidem skutečně umožňuje zjistit, kdo je sleduje, proč a kde najdou další informace.
Povinnost provést DPIA Garante odůvodnil kombinací systematického monitorování a zvláštní zranitelnosti zaměstnanců v pracovním vztahu. Posouzení mělo proběhnout před zahájením zpracování. Ze závěru nelze udělat pravidlo, že každá jednotlivá kamera vždy vyžaduje DPIA; rozhodují konkrétní okolnosti a rizika. Stejně tak označení projektu za pilotní provoz není důvodem k odkladu posouzení, pokud pilot už provádí rizikové zpracování reálných údajů.
Samostatnou otázkou byla odchylka od dohody s odbory. Podstatný nebyl jen vyšší počet kamer, ale také nesoulad skutečného sledování s dohodnutým uspořádáním. Požadavky na takovou dohodu vycházejí z italského pracovního práva a nelze je automaticky přenášet do českého prostředí. Pro jiné organizace je však použitelné poučení, že právní a organizační příprava musí odpovídat skutečně instalovanému systému. Schválení původního plánu není automatickým schválením každé pozdější změny.
Garante všechny obavy ze stížnosti nepotvrdil. Na základě vysvětlení ústavu nepovažoval za prokázané neoprávněné zpřístupnění obrazu návštěvníkům přes monitory v prostoru vrátnice. Ustanovení o maximálním uchovávání záznamů po dobu 72 hodin zase vycházelo z konkrétní dohody; nejde o univerzální lhůtu pro všechny kamerové systémy. Rozlišení těchto bodů je důležité, aby se z jednoho rozhodnutí nevyvozovaly širší povinnosti, než jaké skutečně stanoví.
Praktická příprava zkoušky má proto začít určením účelu, sledovaných prostor, právního základu, přístupů k obrazu a způsobu informování. Pokud je potřebné DPIA, musí být hotové před testem zahrnujícím sledované osoby. Při změně rozmístění nebo režimu kamer je nutné ověřit, zda dosavadní dokumentace stále popisuje reálný provoz. Čistě technická zkouška bez zpracování osobních údajů může mít jiný režim; rozhoduje skutečný obsah zkoušky, nikoli její název.
Zdroj
Datum: 8.10.2026
Další články
I testování kamer na pracovišti podléhá GDPR
Vývoj s AI potřebuje zadání, testy a odpovědnost za výsledek
